Nous accueillons favorablement les signalements des chercheurs en sécurité, des clients et de toute personne qui découvre une vulnérabilité dans un service Syott. La présente politique explique comment signaler une vulnérabilité à Syott Limited (« Syott »), ce qui entre dans le périmètre et ce que vous pouvez attendre de nous. Elle suit les principes de notre Politique de divulgation responsable.
Comment signaler
Écrivez à security@syott.co. Nous préférons les signalements en anglais. Merci d'indiquer :
- en quoi consiste la vulnérabilité et ce qu'un attaquant pourrait en faire ;
- où elle se trouve : l'URL, le point de terminaison ou le composant concerné ;
- les étapes détaillées pour la reproduire, avec tout code de preuve de concept ou capture d'écran ;
- quand vous avez effectué vos tests et depuis quelles adresses IP ; et
- si vous souhaitez être cité et, le cas échéant, sous quel nom.
Vous n'êtes pas obligé de nous donner votre vrai nom. Si vous êtes tombé sur des données personnelles, n'en incluez que ce qui est nécessaire pour démontrer le problème.
Dans le périmètre
- syott.co et les sous-domaines de syott.co exploités par Syott ; et
- les applications web et les API de Syott HR, Syott Recruit et Syott Company OS. Effectuez vos tests uniquement avec des comptes que vous êtes autorisé à utiliser.
Hors périmètre
- les services exploités par des tiers, même lorsqu'ils apparaissent sur nos pages (comme nos fournisseurs de chat, de mesure d'audience ou de protection contre les robots) ; veuillez les signaler au fournisseur concerné ;
- les attaques par déni de service et les tests reposant sur des volumes de trafic élevés ;
- l'ingénierie sociale, l'hameçonnage et les attaques physiques visant Syott, notre personnel ou nos clients ;
- les résultats d'outils d'analyse automatisés sans impact démontré et exploitable ;
- l'absence d'en-têtes de sécurité, d'attributs de cookies ou d'enregistrements d'authentification des e-mails sans impact démontré ;
- le self-XSS, le clickjacking sur des pages sans action sensible et les autres problèmes nécessitant une interaction improbable de l'utilisateur ; et
- les problèmes qui ne concernent que des navigateurs obsolètes ou non pris en charge.
Règles de test
Pour bénéficier de notre protection juridique :
- utilisez uniquement des comptes et des données qui vous appartiennent ou que vous êtes autorisé à utiliser ;
- si vous tombez sur les données d'autres personnes, arrêtez-vous, ne les copiez pas, ne les conservez pas et prévenez-nous ;
- ne modifiez ni ne supprimez de données, et ne dégradez pas nos services pour les autres utilisateurs ;
- n'utilisez pas d'outils automatisés à un rythme susceptible d'affecter la disponibilité ;
- laissez-nous un délai raisonnable pour corriger le problème avant de le divulguer, comme décrit dans notre Politique de divulgation responsable ; et
- respectez la loi.
Ce que vous pouvez attendre de nous
- Nous accuserons réception de votre signalement dans un délai de 3 jours ouvrés.
- Nous vous dirons si nous parvenons à reproduire le problème et quelle gravité nous lui attribuons.
- Nous vous tiendrons informé et vous préviendrons lorsqu'il sera corrigé.
- Nous vous citerons publiquement si vous le souhaitez.
- Nous n'engagerons pas de poursuites contre vous pour des recherches menées de bonne foi conformément à la présente politique.
Récompenses
Nous ne proposons pas actuellement de programme de bug bounty rémunéré. Si cela change, nous mettrons cette page à jour.
Contact
security@syott.co. Nos coordonnées de sécurité sont également publiées sur /.well-known/security.txt.